Android APP漏洞之战—验证码漏洞挖掘详解-网盾网络安全培训学校

Android APP漏洞之战—验证码漏洞挖掘详解

简介

验证码漏洞也是当下十分常见的APP端漏洞，本文对验证码漏洞原理做了一个初步的讲解，并复现了当下一些常见的验证码相关的漏洞，本文App抓包技术参考了肉丝大佬的书籍安卓Frida逆向和抓包实战

本文第二节主要讲述Android APP端抓包的基础知识

本文第三节主要讲述APP验证码漏洞的种类和安全场景

本文第四节主要讲述APP验证码原理，并复现了一些常见的验证码相关漏洞

基础知识

APP验证码漏洞挖掘，需要掌握基本的Android抓包技术，现在越来越多的APP开始进行安全防护，所以如何才能绕过一些基本的防护技术，合理的抓取到报文是验证码漏洞挖掘的先决条件。学习下面知识之前，可以先学习Android APP漏洞之战（6）—HTTP/HTTPs通信漏洞详解的基础理论知识https://bbs.pediy.com/thread-270634.htm

1、APP抓包技术详解

（1）高版本android系统证书导入

Android4.4后

开始引入CA证书校验机制，这里先会涉及到Https的单向认证机制：

上述步骤4就进行证书校验的环节，而这里的证书便是将手机内置的证书和客户端的证书进行校验，来判断是否合法。

Https原理：非对称+对称连接

（1）非对称主要是为了传输对称连接所需要密钥和证书校验

（2）对称连接是加密密码可以安全传输，就可以采用对称连接

Android4.4-Android7.0

这个阶段，Android系统信任用户下的证书，所以逆向人员可以将抓包工具的证书导入用户目录下，实现对Https的报文抓取，这里案例可以参考Android协议分析（一）——Fiddler安装和使用https://bbs.pediy.com/thread-268445.htm

Android7.0+

Android7.0后，Android系统不再信任用户目录下证书，只信任根目录下证书，所以我们要获取HTTPs报文，需要将抓包工具的证书移动到根目录下

方法一：将文件系统先挂载起来，然后移动

root权限下：mount -o remount,rw /systemcp * /etc/security/cacerts/chmod 777 /etc/security/cacerts/*mount -o remount,ro /systemreboot

方法二：使用Magisk证书模块

Move Certificates（https://github.com/Magisk-Modules-Repo/movecert）

我们只需要将模块安装到Magisk中，这样就可以成功的抓取常规状态下的HTTPs的报文了，这里一定主要抓包时必须保证Android手机时间要正确，否则也会报错。

（2）HTTPs双向认证及解决方案

Https一般采用单向认证，但是一些特殊的APP在服务端也会对证书进行再次认证，这样的认证机制我们称为HTTPs双向认证。

上图中步骤5就对客户端证书进行了校验，这里导致我们就算客户端导入了抓包工具的证书并信任，也无法通过服务端的认证。

解决办法

（1）获取客户端的证书，可以通过编写hook脚本的方式，获取客户端证书及密码

（2）将客户端证书导入到抓包软件charles中，使得Charles能都获取服务端信任（这里一般可以使用charles、Burpsuit软件）

方法一：

这里我们一般可以先去分析开发中进行保护的函数，再对对应的函数进行hook

例如java.security.KeyStore。

这里可以参考肉丝大佬的文章《实用FRIDA进阶：内存漫游、hook anywhere、抓包》

这里考虑篇幅问题，给一个参考的实操案例某交友app的双向认证crack。

方法二：

直接在Apk文件下搜索.p12后缀的文件，这里搜索出来的很有可能就是证书文件，当然有些需要密码的就还是要进行hook了。

tree -NCfhl |grep -i p12

（3）VPN代理机制

如果APP中编写了检测代理抓包软件代码，也可能会导致我们抓不到包：

System.getProperty(“http.proxyHost”);System.getProperty(“http.proxyPort”);

这样我们使用代理软件进行抓包要更加合适，当然也有一些检测VPN的情况，这种直接hook就可以了：

具体如何配置使用，可以参考这篇文章APP流量 “一个都不能少” ！

采用VPN代理进行抓包，和Http中间人抓包有本质区别，VPN抓包本质在网络层和路由层抓包

（4）SSL pinning

就算我们使用Vpn代理抓包，也解决了证书双向认证的问题，但是在抓包过程中也可能会遇到证书绑定的情况。

证书绑定：APP在代码段中有有对服务端证书进行对比一致性，如果发现是中间人就会直接终止连接。

这里我们提供一般的解决思路：

（1）识别证书绑定

（2）先使用开源框架objection或DroidSSLUnpinning先去简单hook

（3）不成功，再去分析APP使用哪种开发框架，去有针对性的进行hook

（4）如果不知道开发框架，可以采用Hook Java的File构造函数进一步去定位证书绑定代码

这里用一个简单的实例来说明：识别证书绑定

当我们解决了单向认证、双向认证、采用代理通信还出现上面的情况，说明APP可能采用了证书绑定。

使用开源框架hook——以objection为例：

我们直接使用objection的hook或spwan模式就进行证书绑定hook

hook模式启动：android sslpinning disablespwan模式启动：objection -g 包名 explore -s "android sslpinning disable"

针对开发框架，有针对性hook

我们需要分析APP采用何种开源框架，如okhttp等，不过这里一般开源hook工具objection已经针对了当下的很多开源框架了，所以如果没有成功，可能是程序进行了混淆，这个时候就需要进一步去hook正确的绑定函数

未知开源框架

我们对File构造函数进行hook，然后可以观察对应的调用链信息，从而分析出证书绑定的函数：

再针对这里找到的函数进行正确的hook，即可。

（5）VPN+Charles+Burpsuit环境配置

我们经过上面一系列流程基本可以解决当下常见的安全防护形式，当然针对更加安全的抓包防护策略就需要深入的解决了，这里我们介绍一下本文的抓包环境搭建，一般使用通过VPN+Charles+Burpsuit的组合抓包方式。

首先先配置VPN+Charles的抓包模式：

然后我们将Charles的流量去导入到Burpsuit中，这样就可以实现组合使用，当然根据实际情况你也可以选择合适抓包工具。

验证码漏洞安全场景和分类

1、验证码漏洞安全场景

验证码漏洞一般是APP对验证码没有进行登陆校验等安全防护导致的，攻击者一般可以利用验证码漏洞进行暴力破解实现任意号码登陆、还可以实现短信轰炸、导致验证码泄露、手机号换绑、验证码无限发送风险、万能验证码登录、修改返回包绕过验证码登录等安全问题，验证码漏洞在APP中的影响十分严重，一般会造成严重的经济损失。